News Meltdown & Spectre: Details und Bench­marks zu den Sicherheits­lücken in CPUs

[Geeky26]

Du hast doch gesagt, du hast Haswell, oder? Dann heißt das, du kriegst gar kein BIOS-Update. Also freu dich

Um so besser.

Also wie gesagt: wer kein BIOS Update mehr erwartet: da lang

Ich lebe als kleine Privatperson lieber mit einer Sicherheitslücke (Windows hat doch eh dutzende und Hardware bestimmt auch Hintertüren die wir nicht kennen), als mir freiwillig einen Performancenachteil ins Maschinchen zu schleusen.

 

[Tapion3388]

Ich geh nicht davon aus, dass der Patch cpu306C3_plat32_ver00000023_2017-11-20_PRD_16535FE4 final sein wird, denn damit bricht die Leistung meiner Samsung Evo 850 NVMe um satte 30% ein.

Du meinst 960 Evo oder?

 

[Banned]

Das ist der 6800K, also andere Plattform.


Die Sache ist, das ist ja nur der Patch. Richtig reinhauen tut ja erst der Microcode via BIOS-Update....



Deshalb wird CL etc. da wohl den Vorsprung gegen X99 (mit Haswell-E) verlieren und teilweise sogar dahinter zurückfallen.


Broadwell ist ja wieder ein komischer Sonderfall. Die bräuchten ein Update, kriegen aber oft wohl keins.

Habe mir die Zahlen der Quellen noch mal genauer angesehen und bin zu dem Schluss gekommen, dass sehr wahrscheinlich die I/O Leistung in Bezug auf SSDs durch den vorherigen Vorsprung durch den Microcode egalisieren werden wird.

Man wird wahrscheinlich einfach im Verhältnis etwa auf 0 rauskommen. Der Vorsprung erklärt sich wohl einfach durch die technologischen Tricks, die jetzt eben nicht mehr verfügbar sind.


Mein Denkfehler in Bezug auf den 6800K war, dass der ja auch ein Update kriegen müsste, und gegenüber Haswell-E schon die Vorteile der neuen Technologien hat, wie man hier auch gut sieht:7

http://www.legitreviews.com/two-pcie-nvme-ssds-tested-six-motherboards-intel-amd_197515/2

Um so besser.


Ich lebe als kleine Privatperson lieber mit einer Sicherheitslücke (Windows hat doch eh dutzende und Hardware bestimmt auch Hintertüren die wir nicht kennen), als mir freiwillig einen Performancenachteil ins Maschinchen zu schleusen.

Mein Verständnis bisher ist auch, dass du kein neues BIOS brauchst. Das ist nur nötig, damit Retpoline funktioniert bei Broadwell+ CPUs. Bei allen anderen soll es auch so funktionieren.

Und Spectre Variante 1 wird nicht über's BIOS gefixt, oder irre ich mich da?

 

[xexex]

Mein Verständnis bisher ist auch, dass du kein neues BIOS brauchst. Das ist nur nötig, damit Retpoline funktioniert bei Broadwell+ CPUs. Bei allen anderen soll es auch so funktionieren.

Retpoline ist ein Trick von Google (Linux) zur Absicherung gegen Spectre (2).

Retpoline v5 is the latest as of Saturday morning as the ongoing effort for avoiding speculative indirect calls within the Linux kernel for preventing a branch target injection style attack.
https://www.phoronix.com/scan.php?page=news_item&px=Retpoline-v5-Published

Unter Windows ist ohne einen angepassten Microcode bisher der BTI Schutz (Spectre 2) nicht aktiv. KVA (Meltdown) braucht hingegen keine weiteren Updates und ist auf Clientsystemen standardmäßig aktiviert.

Beides lässt sich mit einem Eintrag in der Registrierung vollständig deaktivieren.

 

[cbtestarossa]

Anhand einiger Reg Einträge nun 2 Batch dateien um die Schlüssel zu aktivieren / deaktivieren

Patches aktivieren

Patches_EIN.bat

reg add "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\QualityCompat" /v cadca5fe-87d3-4b96-b7fb-a231484277cc /t REG_DWORD /d 0 /f
reg add "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Virtualization" /v MinVmVersionForCpuBasedMitigations /t REG_SZ /d "1.0" /f
reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 0 /f
reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 3 /f
pause

Patches deaktivieren

Patches_AUS.bat

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 3 /f
reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 3 /f
pause

 

[TheLastHotfix]

@Tapion3388, ja sorry, 960. Den Microcode Patch hab ich jetzt rückgängig gemacht. Da ist definitiv der Wurm drin.

 

[Omegaprophecy]

also habe jetzt mal das letzte linux-microcode-update vom 17.11.2017 für meinen alten i5 2500k geupdated.. den schutz hat es jetzt nicht gebracht, dafür aber etwas übung mit dem win updater

 

[xexex]

reg add "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\QualityCompat" /v cadca5fe-87d3-4b96-b7fb-a231484277cc /t REG_DWORD /d 0 /f

Das ist mehr als gefährlich! Damit sagst du deinem System, dass dein Virenscanner kompatibel mit den Kerneländerungen ist. Wenn er das nicht ist, hast du ein ganz sicheres System, weil es sich mit einem Bluescreen verabschiedet und nicht mehr hochfährt!

2.reg add "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Virtualization" /v MinVmVersionForCpuBasedMitigations /t REG_SZ /d "1.0" /f

Diesen Eintrag brauchst du wie bereits geschrieben NUR auf Hyper-V Hosts (<Win10/Server2016) damit die Gast-VMs BTI aktivieren können. Das dürfte hier vermutlich niemanden betreffen.

 

[Steffen]

Diesen Eintrag brauchst du wie bereits geschrieben NUR auf Hyper-V Hosts (<Win10/Server2016) damit die Gast-VMs BTI aktivieren können. Das dürfte hier vermutlich niemanden betreffen.

Ja, richtig, ich habe den jetzt auch aus unserer News entfernt.

 

[Steffen]

Artikel-Update: Laut Heise führt das von Microsoft bereitgestellte Windows-Update, das vor Meltdown schützt und erste Spectre-Fixes enthält, auf Systemen mit AMD-CPU in einzelnen Fällen offenbar dazu, dass Windows beim Booten mit Fehlercode 0x800f0845 hängen bleibt (Forum-Beitrag #1, Forum-Beitrag #2, Forum-Beitrag #3).

Wie WinCentral berichtet, hat Microsoft unterdessen auch mit dem Verteilen eines Updates für Windows 10 Mobile auf Version 15254.158 begonnen (KB4073117, KB4056891). Zumindest manche Windows-Smartphones nutzen SoCs mit Cortex-A57, die laut ARM nicht nur von Spectre sondern auch von Meltdown betroffen sind.

Unterdessen mehren sich Berichte von Server-Betreibern, dass die Meltdown-Gegenmaßnahmen in bestimmten Fällen deutliche Auswirkungen auf die Performance haben können. Epic Games hat einen drastischen Anstieg der CPU-Last auf Fortnite-Gameservern festgestellt. Ähnliche Werte wurden für die von Servern genutzten Dienste Elasticache und Kafka gemeldet. Allen drei Fällen gemein dürften viele Syscalls zum Senden und Empfangen von Netzwerkpaketen sein.

Linux-Entwickler Greg Kroah-Hartman, in erster Linie als Maintainer der Long-Term-Support-Kernel (LTS) bekannt, hat in seinem Blog Informationen zum Patch-Status von Linux veröffentlicht. Während Meltdown-Gegenmaßnahmen für x86-CPUs bekanntermaßen in Linux 4.14, 4.9 und 4.4 enthalten sind, sollen Patches für die paar von Meltdown betroffenen ARM-Kerne in Linux 4.16 folgen. Für Spectre gebe es im Linux-Kernel noch keine Gegenmaßnahmen, weil man nur über Meltdown vorab informiert worden sei – man arbeite aber dran.

 

[Krautmaster]

...

euch ist schon auch wie mir aufgefallen dass hier zwei mal dasselbe gesetzt wird?

 

[Steffen]

euch ist schon auch wie mir aufgefallen dass hier zwei mal dasselbe gesetzt wird?

Anhang anzeigen 660195

Ja, steht allerdings auch bei Microsoft so: https://support.microsoft.com/en-us...-to-protect-against-the-speculative-execution

 

[Photon]

Zumindest manche Windows-Smartphones nutzen SoCs mit Cortex-A57, die laut ARM nicht nur von Spectre sondern auch von Meltdown betroffen sind.

Sind nun also doch nicht nur Intel-CPUs von Meltdown betroffen?

 

[Trochaion]

euch ist schon auch wie mir aufgefallen dass hier zwei mal dasselbe gesetzt wird?

Anhang anzeigen 660195

Ist auch korrekt so.

 

[Steffen]

Sind nun also doch nicht nur Intel-CPUs von Meltdown betroffen?

Ja, das hat ARM von Anfang an offen kommuniziert, aber es sind nur ein paar wenige Kerne betroffen, um genau zu sein 3: Cortex-A15, Cortex-A57 und Cortex-A72: https://developer.arm.com/support/security-update

Mich hat gerade eben aber auch selbst überrascht, dass die offenbar doch nicht soo selten verbaut wurden wie erste Aussagen, die ich dazu vor ein paar Tagen gelesen habe, suggeriert haben (hätte ich prüfen sollen). Ich weiß nicht wie vollständig die Geizhals-Datenbank ist, aber einen ersten Eindruck kann man sich hier verschaffen:

https://www.computerbase.de/preisvergleich/?cat=umtsover&xf=5827_Cortex-A15
https://www.computerbase.de/preisvergleich/?cat=umtsover&xf=5827_Cortex-A57
https://www.computerbase.de/preisvergleich/?cat=umtsover&xf=5827_Cortex-A72

Wenn ich Google richtig verstehe, dann ist Meltdown auf ARM-Kernen zumindest bislang noch theoretischer Natur aka es gibt keinen Exploit: "Android: Devices with the latest security update are protected. Furthermore, we are unaware of any successful reproduction of this vulnerability that would allow unauthorized information disclosure on ARM-based Android devices. Supported Nexus and Pixel devices with the latest security update are protected." Das könnte sich natürlich mit der Zeit ändern.

 

[JZedtler]

Hat die Betroffenheit von ARM damit zu tun das Intel Auftragsfertiger für ARM ist?

 

[Steffen]

Hat die Betroffenheit von ARM damit zu tun das Intel Auftragsfertiger für ARM ist?

Nein, es handelt sich ja nicht um Probleme, die in der Fertigung entstehen.

 

[DjangOC]

Zum aktuellen News-Update, wenn man wie im Forum durch MS angegeben Virtualisierung deaktivieren muss, dann frag ich mich gerade, wie dass bei Windows Server aussieht, ich mein, klar bei Windows 10 ist das vielleicht noch eine Gangbare Lösung, doch im Serversegment ist so etwas meiner Meinung nach absolut inakzeptabel, News wie es dort aussieht?

 

[Krautmaster]

Ja, steht allerdings auch bei Microsoft so: https://support.microsoft.com/en-us...-to-protect-against-the-speculative-execution

Jop und ich hab es schon angewendet und konsequent 0 (enable) oder 3 (disable) gesetzt. Dann hats problemlos funktioniert.

Ergo ggf typo bei Ms

Ggf mal gegenprüfen.

 

[UnserKapitän]

Oh das kann noch lustig werden für Intel und die Server-Betreiber/Hoster.
Wenn Epic Games' Server jetzt 10% (beispielhaft) langsamer sind, brauchen sie 10% mehr Hardware, also 10% höhere Kosten.